审计-华为云

安全云脑 SECMASTER-云审计服务支持的SecMaster操作列表

云审计服务支持的SecMaster操作列表云审计服务（Cloud Trace Service， CTS ）记录了安全云脑相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。云审计服务支持的SecMaster操作列表如表云审计服务支持的SecMaster操作列表所示。表1 云审计服务支持的SecMaster操作列表操作名称资源类型事件名称剧本审核 playbook approvePlaybook 创建剧本动作 playbook createPlaybookAction 修改剧本动作 playbook updatePlaybookAction 删除剧本动作 playbook deletePlaybookAction 创建剧本 playbook createPlaybook 修改剧本 playbook updatePlaybook 删除剧本 playbook deletePlaybook 操作剧本实例 playbook operatePlaybookInstance 导出剧本实例 playbook exportPlaybookInstance 导出剧本 playbook exportPlaybook 导入剧本 playbook importPlaybook 新增剧本触发规则 playbook createPlaybookRule 更新剧本触发规则 playbook updatePlaybookRule 删除剧本触发规则 playbook deletePlaybookRule 创建剧本版本 playbook createPlaybookVersion 更新剧本版本 playbook updatePlaybookVersion 删除剧本版本 playbook deletePlaybookVersion 克隆剧本版本 playbook clonePlaybookVersion 创建流程 workflow createWorkflow 修改流程 workflow updateWorkflow 删除流程 workflow deleteWorkflow 创建流程版本 workflow createWorkflowVersion 修改流程版本 workflow updateWorkflowVersion 审核流程版本 workflow approveWorkflowVersion 删除流程版本 workflow deleteWorkflowVersion 导出流程 workflow exportWorkflow 导入流程 workflow importWorkflow 创建资产连接 asset createAsset 创建资产连接 asset updateAsset 删除资产连接 asset deleteAsset 上传附件 component uploadAttachement 创建插件模板 component createComponentTemplate 更新插件模板 component updateComponentTemplate 删除插件模板 component deleteComponentTemplate 添加评论 task commentTask 提交待办 task commitTask 创建工作空间 workspace createWorkspace 删除工作空间 workspace deleteWorkspace 更新工作空间 workspace updateWorkspace 重新收集子服务统计数据 workspace recollectServiceStatistics 父主题：云审计服务支持的关键操作

安全云脑 SECMASTER 云审计服务支持的关键操作

应用平台 APPSTAGE-查询云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务 (OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

应用平台 APPSTAGE 审计

数据安全中心 DSC-DSC可以检测哪些类型的异常事件？

DSC可以检测哪些类型的异常事件？数据安全中心服务当前仅支持对OBS桶数据进行异常检测。 DSC根据敏感数据规则对OBS桶进行识别，根据识别的敏感数据进行监控，监控到敏感数据的异常事件相关操作后，会将监控结果展示在异常事件处理页面中，用户可根据需要对异常事件进行处理。DSC支持检测的异常类型和异常内容如表1所示。表1 DSC异常检测异常类型异常内容数据访问异常敏感文件的越权操作。敏感文件的下载操作。数据操作异常敏感文件的更新操作。敏感文件的文件内容追加操作。敏感文件的删除操作。敏感文件的复制操作。数据管理异常添加桶时，检测到桶为公共读或公共读写桶。添加桶时，检测到私有桶对匿名用户或注册用户组开通了访问/ACL访问权限。含有敏感文件的桶出现桶策略更改、删除操作。含有敏感文件的桶出现桶ACL更改、删除操作。含有敏感文件的桶出现跨区域复制配置的更改、删除操作。敏感文件的对象出现ACL更改、删除操作。相关文档：如何处理异常事件？如何查看异常事件？父主题：数据审计

数据安全中心 DSC 数据审计

云手机服务器 CPH-查询CPH审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

云手机服务器 CPH 使用CTS审计CPH

视频点播 VOD-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

视频点播 VOD 查询审计事件

高性能弹性文件服务 SFS TURBO-查询SFS Turbo审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

高性能弹性文件服务 SFS TURBO 使用CTS审计SFS Turbo文件系统

配置审计 CONFIG-修正配置快速入门:基于FunctionGraph函数执行修正

基于FunctionGraph函数执行修正使用预设策略“VPC启用流日志（vpc-flow-logs-enabled）”添加预定义合规规则。由于当前账号存在未开启流日志的VPC资源，该合规规则的合规评估结果为“不合规”。图5 合规评估结果创建FunctionGraph函数，并填入以下函数代码。该函数代码表示为指定的VPC资源开启流日志。使用以下函数示例时，您需要手动添加依赖包huaweicloudsdkvpc，该依赖包并非在所有区域都可选，如果依赖包缺失，则需要手动导入依赖包，详见配置依赖包。 # -*- coding:utf-8 -*- import time import requests import random, string import http.client from huaweicloudsdkcore.exceptions.exceptions import ConnectionException from huaweicloudsdkcore.exceptions.exceptions import RequestTimeoutException from huaweicloudsdkcore.exceptions.exceptions import ServiceResponseException from huaweicloudsdkvpc.v2.region.vpc_region import VpcRegion from huaweicloudsdkvpc.v2.vpc_client import VpcClient from huaweicloudsdkvpc.v2.model import CreateFlowLogReq from huaweicloudsdkvpc.v2.model import CreateFlowLogReqBody from huaweicloudsdkvpc.v2.model import CreateFlowLogRequest from huaweicloudsdkcore.auth.credentials import BasicCredentials requests.packages.urllib3.disable_warnings() def get_random_string(length=6): letters_and_digits = string.ascii_letters + string.digits return ''.join(random.choice(letters_and_digits) for _ in range(length)) def createFlowLog(context, project_id, request): auth = BasicCredentials(ak=context.getAccessKey(), sk=context.getSecretKey())\ .with_project_id(project_id) client = VpcClient.new_builder() \ .with_credentials(credentials=auth) \ .with_region(region=VpcRegion.value_of(region_id="cn-north-4")) \ .build() try: response = client.create_flow_log(request) return 200 except ConnectionException as e: print("A connect timeout exception occurs while the vpc performs some operations, exception: ", e.error_msg) return e.status_code except RequestTimeoutException as e: print("A request timeout exception occurs while the vpc performs some operations, exception: ", e.error_msg) return e.status_code except ServiceResponseException as e: print("There is service error, exception: ", e.status_code, e.error_msg) return e.status_code def handler(event, context): project_id = event.get("project_id") request_body = CreateFlowLogRequest(CreateFlowLogReqBody( CreateFlowLogReq( name="auto" + get_random_string(4), description="to remediate vpc", resource_type="vpc", resource_id=event.get("noncompliant_resource_id", {}), traffic_type="all", log_group_id=event.get("log_group_id", {}), log_topic_id=event.get("log_topic_id", {}), index_enabled=False ) )) for retry in range(5): status_code = createFlowLog(context, project_id, request_body) if status_code == http.client.TOO_MANY_REQUESTS: time.sleep(1) else: break 创建该合规规则的修正配置，具体如下图所示。部分示例参数的说明：修正方法选择“自动修正”。修正模板选择上一步中创建的FunctionGraph函数。配置资源ID参数，Config会将该参数赋值为不合规资源的ID。在当前场景下“noncompliant_resource_id”将会被赋值为不合规资源的ID，FunctionGraph函数中使用resource_id=event.get("noncompliant_resource_id", {})语句获取不合规资源ID，每个不合规资源均会传递一次资源ID。参数，指定您期望由Config传递给FunctionGraph函数的静态参数，该参数为不合规资源修正的具体规则参数值。例如在当前场景下此处配置日志组的ID（键：log_group_id；值：具体日志组ID值），在FGS函数中使用log_group_id=event.get("log_group_id", {})语句获取日志组ID，执行修正时为不合规的VPC资源创建的流日志均将在此日志组内。当前示例中的参数说明如下： project_id：项目ID，如何获取请参见获取项目ID。 log_group_id：日志组ID，如何获取请参见管理日志组。 log_topic_id：日志流ID，如何获取请参见管理日志流。图6 创建修正配置修正配置创建完成后，重新触发规则评估。当该合规规则评估完成且合规评估结果仍然为不合规时，Config将自动执行修正，调用FunctionGraph函数为每个不合规的VPC资源创建流日志。如下图所示，不合规的VPC资源在修正成功后已全部创建流日志。图7 VPC资源已创建流日志

配置审计 CONFIG

配置审计 CONFIG-修正配置快速入门:基于RFS私有模板执行修正

基于 RFS 私有模板执行修正使用预设策略“创建并启用CTS追踪器（cts-tracker-exists）”添加预定义合规规则。由于当前账号的CTS追踪器已停用，该合规规则的合规评估结果为“不合规”。图1 CTS追踪器已停用图2 合规评估结果创建RFS私有模板，并填入以下模板内容。该模板内容表示开启已关闭的CTS追踪器。 { "resource": { "huaweicloud_cts_tracker": { "tracker": { "bucket_name": "${var.bucket_name}", "file_prefix": "${var.file_prefix}", "lts_enabled": "true" } } }, "variable": { "bucket_name": { "description": "Specifies the OBS bucket to which traces will be transferred.", "type": "string", "default": "" }, "file_prefix": { "description": "Specifies the file name prefix to mark trace files that need to be stored in an OBS bucket. The value contains 0 to 64 characters. Only letters, numbers, hyphens (-), underscores (_), and periods (.) are allowed.", "type": "string", "default": "" } }, "terraform": { "required_providers": { "huaweicloud": { "source": "huawei.com/provider/huaweicloud", "version": "1.58.0" } } } } 创建该合规规则的修正配置，具体如下图所示。部分示例参数的说明：修正方法选择“自动修正”。修正模板选择上一步中创建的RFS私有模板，当修正方法选择“自动修正”时还需指定 IAM 权限委托，例如当前场景下RFS私有模板将创建CTS追踪器，则该委托的授权云服务为RFS，委托权限为创建CTS追踪器的权限（例如CTS FullAccess）。如何创建委托请参见委托其他云服务管理资源。配置资源ID参数，Config会将该参数赋值为不合规资源的ID。在当前场景下“file_prefix”将会被赋值为账号ID，该值会传递给RFS服务用于创建资源栈执行RF语句。参数，指定您期望由Config传递给RFS私有模板的静态参数，Config会将这些参数原样传递给RFS服务用于创建资源栈执行RF语句。图3 创建修正配置修正配置创建完成后，重新触发规则评估。当该合规规则评估完成且合规评估结果仍然为不合规时，Config将自动执行修正，调用RFS私有模板为当前账号开启CTS追踪器。如下图所示，不合规资源自动修正成功，当前账号的CTS追踪器已启用。图4 CTS追踪器已启用

配置审计 CONFIG

配置审计 CONFIG-创建修正配置:操作场景

操作场景当您通过系统预设策略或自定义策略创建合规规则后，您可以为合规规则创建修正配置，按照您自定义的修正逻辑对规则检测出的不合规资源进行快速修正。合规规则的修正配置功能基于RFS服务的私有模板或FunctionGraph的函数进行资源修正，因此您需要预先创建RFS服务的私有模板或FunctionGraph的函数。本章节包含如下内容：创建RFS私有模板创建FunctionGraph函数创建修正配置

配置审计 CONFIG 合规规则修正配置

配置审计 CONFIG-创建修正配置:创建修正配置

创建修正配置当前仅用户自行创建的预定义或自定义合规规则支持修正配置，通过组织合规规则或合规规则包创建的托管合规规则不支持修正配置。登录管理控制台。单击页面左上角的图标，在弹出的服务列表中，选择“管理与监管”下的“配置审计 Config”，进入“资源清单”页面。单击左侧的“资源合规”，进入“资源合规”页面。在“规则”页签下的合规规则列表中，单击合规规则的规则名称，进入规则详情页。图2 进入规则详情页在左上方选择“修正管理”页签。单击界面中部或右上方的“修正配置”按钮，进入修正配置信息页面。图3 创建修正配置选择修正方法。自动修正：当合规规则评估出不合规资源后，将自动对不合规资源执行修正操作。手动修正：由用户手动选择执行不合规资源的修正操作。具体请参见手动执行修正。由于自动修正会根据您的预设参数自动修改不合规资源的配置信息，可能会影响业务的连续性，因此推荐您使用手动修正方式。当您确保本次修正不会对业务造成影响时，可以选择修正方法为自动修正，当合规规则检测到不合规资源时，会自动执行修正。配置修正执行的重试时间和重试次数。当不合规资源在执行修正后仍不合规时，“自动修正”方式会循环执行修正，或您自行多次手动执行修正，这将可能产生不必要的费用和影响业务连续性。为避免循环执行修正产生的影响，您必须设置修正执行的重试时间和重试次数，Config会检测单个资源在该重试时间内执行的修正次数，若达到设置的重试次数，该资源会自动被设置为修正例外，后续执行规则修正时将不会再对此资源进行修正。重试时间默认为3600秒，输入值需在60到43200之间。重试次数默认为5次，输入值需在1到25之间。选择修正模板。 RFS模板：选择资源编排服务（RFS）的私有模板作为修正操作的模板，模板中定义不合规资源的具体修正逻辑。 IAM权限委托：当选择RFS模板且修正方法为“自动修正”时需指定IAM权限委托，该委托为云服务委托，用于授予RFS服务部署资源栈执行资源配置修改时所需的权限，授权的云服务为RFS，委托权限为RFS模板中调用其他服务所需的权限，如何创建委托请参见委托其他云服务管理资源。若委托的权限不足或配置错误，会导致修正失败，您可以自行创建资源栈验证委托可用性，具体请参见创建资源栈。 RFS修正模板目前仅默认支持使用北京四（cn-north-4）区域的私有模板。 FGS模板：选择函数工作流（FunctionGraph）的函数实例作为修正操作的模板，函数中定义不合规资源的具体修正逻辑。图4 修正配置信息配置资源ID参数。资源ID参数：指定不合规资源ID的变量名，需要与修正模板中定义的获取资源ID的变量名一致。执行修正时Config会将该变量赋值为要修正的不合规资源的具体ID值，并将其传递给修正模板获取资源ID。例如在FGS函数中使用resource_id=event.get("noncompliant_resource_id", {})语句获取不合规资源ID，则此处的资源ID参数也需配置为“noncompliant_resource_id”，执行修正时不合规资源的ID将通过变量“noncompliant_resource_id”传递给FSG函数，每个不合规资源均会传递一次资源ID用于修正模板执行修正。参数：指定您期望由Config传递给修正模板的静态参数，最多可以添加50个参数。该参数为不合规资源修正的具体规则参数值，例如执行修正为不合规的VPC资源创建流日志时，在FGS函数中使用log_group_id=event.get("log_group_id", {})语句获取日志组ID，则此处参数配置日志组的ID（键：log_group_id；值：具体日志组ID值），执行修正时为不合规的VPC资源创建的流日志均将在此日志组内。图5 资源ID参数配置完成后，单击页面右下角的“保存”。当合规规则的修正方式选择“自动修正”时，您必须重新触发规则评估以更新评估结果，然后才会自动对不合规资源执行修正。

配置审计 CONFIG 合规规则修正配置

配置审计 CONFIG-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

配置审计 CONFIG 云审计-记录配置审计

开天集成工作台 MSSI-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

开天集成工作台 MSSI 审计

镜像服务 IMS-IMS支持审计的关键操作列表:支持审计的关键操作列表

支持审计的关键操作列表表1 云审计服务支持的IMS操作列表操作名称资源类型事件名称创建镜像 ims createImage 修改镜像 ims updateImage 批量删除镜像 ims deleteImage 复制镜像 ims copyImage 导出镜像 ims exportImage 新增成员 ims addMember 批量修改成员 ims updateMember 批量删除成员 ims deleteMemeber 表2 由IMS触发的操作与OpenStack原生接口的关系操作名称事件名称服务类型资源类型归属创建镜像 createImage IMS image glance 修改镜像信息/上传镜像 updateImage IMS image glance 删除镜像 deleteImage IMS image glance 添加标签 addTag IMS image glance 删除标签 deleteTag IMS image glance 添加镜像成员 addMember IMS image glance 修改镜像成员信息 updateMember IMS image glance 删除镜像成员 deleteMember IMS image glance

镜像服务 IMS 使用CTS审计IMS操作事件

云数据库 RDS-支持审计的关键操作列表

支持审计的关键操作列表通过云审计服务，您可以记录与华为云云数据库RDS实例相关的操作事件，便于日后的查询、审计和回溯。表1 云审计服务支持的RDS操作列表操作名称资源类型事件名称创建实例、创建只读、恢复到新实例 instance createInstance 扩容、规格变更 instance instanceAction 实例重启 instance instanceRestart 恢复到原有实例 instance instanceRestore 实例重命名 instance instanceRename 重置密码 instance resetPassword 设置数据库版本配置参数 instance setDBParameters 重置实例的数据库版本配置参数 instance resetDBParameters 设置备份策略-打开，关闭，修改 instance setBackupPolicy 修改数据库端口号 instance changeInstancePort 绑定解绑EIP instance setOrResetPublicIP 修改安全组 instance modifySecurityGroup 创建标签 instance createTag 删除标签 instance deleteTag 修改标签 instance modifyTag 删除实例 instance deleteInstance 主备倒换 instance instanceFailOver 修改主备同步模式 instance instanceFailOverMode 修改主备倒换策略 instance instanceFailOverStrategy 创建快照 backup createManualSnapshot 复制快照 backup copySnapshot 下载备份（通过OBS下载） backup downLoadSnapshot 下载备份（通过浏览器下载） backup backupsDownLoad 删除快照 backup deleteManualSnapshot 合并下载binlog backup packBackupsDownLoad 创建参数模板 parameterGroup createParameterGroup 修改参数模板 parameterGroup updateParameterGroup 删除参数模板 parameterGroup deleteParameterGroup 复制参数模板 parameterGroup copyParameterGroup 重置参数模板 parameterGroup resetParameterGroup 应用参数模板 parameterGroup applyParameterGroup 保存参数模板 parameterGroup saveParameterGroup 冻结删除 all rdsUnsubscribeInstance 实例冻结 all rdsfreezeInstance 父主题： CTS审计

云数据库 RDS CTS审计

弹性文件服务 SFS-查询SFS审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

弹性文件服务 SFS 审计

云服务器内容精选

审计

7*24

备案

专业服务

退订

建议反馈

售前咨询热线